La cybersécurité est devenue l’une des priorités des gouvernements. Mais sait-on dire précisément ce qu’elle est ?

Définir la notion de cybersécurité n’est pas aussi simple qu’il y paraît de prime abord. La littérature sur le sujet est abondante (articles de presse, documents d’entreprises, publications officielles, travaux de recherche, rapports techniques…) et couvre plusieurs domaines (société, droit, politique, technologies…). Nous proposons ici d’appréhender la notion de cybersécurité au travers de son évolution dans le temps d’une part, puis de ses définitions. S’il est souvent fait état d’une absence de consensus en matière de définitions, se dégagent toutefois des convergences relativement marquées qui permettent de saisir la notion de cybersécurité.

 
Sur la scène nationale et internationale, la cybersécurité est aujourd’hui qualifiée d’enjeu majeur. Face à l’augmentation incessante du volume et du niveau de gravité des incidents de sécurité dans le cyberespace, les États se sont dotés d’instruments juridiques et techniques leur permettant d’organiser les réponses nécessaires.

Bien que le concept de « cybersécurité » se trouve désormais au cœur des politiques de sécurité et de défense nationale, son périmètre semble encore imprécis, ses définitions se montrant trop larges ou, au contraire, trop réductrices. L’absence de consensus constitue pourtant en elle-même un défi important : elle pénaliserait la communication entre décideurs ou ingénieurs, pourrait occasionner des désaccords ou des erreurs d’interprétation, rendrait impossible les comparaisons des politiques, etc.

Il est possible cependant de mettre en exergue des lignes de convergence relativement fortes, tant dans la manière d’appréhender la cybersécurité que de la définir, qui dessinent le périmètre de ce concept de « cybersécurité ».
 

De la sécurité des ordinateurs à la cybersécurité

 
La sécurité des systèmes de communication est une préoccupation ancienne, qui fait l’objet de débats et de demandes de législations spécifiques dès le XIXème, à l’heure du télégraphe (comment protéger les messages, comment sécuriser les infrastructures en temps de paix et de guerre…).

Plus près de nous, la sécurité informatique est devenue un enjeu à part entière dès les années 1960¹. La société s’informatise progressivement, l’ordinateur offre des outils d’aide à la décision, des outils de gestion, des moyens de calcul, traite déjà des données en grandes quantités – parfois sensibles voire classifiées – via des systèmes qui sont progressivement mis en réseaux. La sécurité, alors, peut parfois se résumer à des procédures de contrôles d’accès physique aux machines. Mais elle est aussi celle des logiciels (se protéger de la contrefaçon), des données (qu’il faut protéger du vol ou d’accès non autorisés). Elle vise à « minimiser la tentation de casser les systèmes »² et prévoit l’ensemble des contre-mesures techniques au crime électronique qui est « très simple, présentant peu de risques physiques et ayant une faible probabilité de détection »³. On parle alors de sécurité des ordinateurs, sécurité informatique (computer security), sécurité des systèmes d’information (information systems security) puis de sécurité des réseaux d’ordinateurs (computer networks security).

Le droit a accompagné ces évolutions et la prise en compte de la sécurité. Un corpus s’est construit autour de la protection des données personnelles (décennie 1970), puis de la lutte contre le crime informatique et le piratage (décennie 1980) tant en Europe qu’aux États-Unis. Les années 1990 ont ouvert une nouvelle ère de l’histoire de l’informatique et des télécommunications. Un droit de l’internet s’est dès lors constitué. Mais c’est principalement au cours des deux dernières décennies qu’un cadre propre à la cybersécurité a été élaboré : avec la formulation de stratégies nationales de cybersécurité, par la règlementation européenne (la directive Network and Information Security (NIS) de 2016⁴; le règlement européen 2019/881 dit Cybersecurity Act du 12 mars 2019⁵…), par des initiatives régionales (Convention de l’Union Africaine sur la cybersécurité et la protection des données à caractère personnel en date du 27 juin 2014⁶), par les lois nationales (en France la loi de programmation militaire de 2013⁷ ou la loi n°2018-133 du 26 février 2018 relative à la sécurité des réseaux et des systèmes d’information ⁸ ; en Chine la loi de cybersécurité de 2017, etc.)

Les stratégies, politiques, législations en matière de cybersécurité se multiplient ainsi depuis 20 ans, partout dans le monde. Ces politiques de cybersécurité se focalisent sur l’organisation des moyens à mettre en œuvre pour construire un cyberespace sûr. Le volet « lutte contre la cybercriminalité » en est bien sûr un pan spécifique, mais on y trouve également la prise en compte de la protection des données personnelles, la protection des infrastructures critiques, la responsabilisation des opérateurs, le développement de l’industrie de cybersécurité, de la recherche et du développement (R&D), du partenariat public-privé, la création d’agences nationales, d’outils de coordination et de dialogue international, etc.
 

Les définitions de la cybersécurité

 
Que désigne plus précisément cette « cybersécurité » à laquelle les États accordent tant d’importance ? De nombreuses définitions ont été proposées par des organisations internationales, l’industrie, la recherche académique, les administrations.

Rappelons-en ici quelques-unes :

– Pour l’Union Internationale des Télécommunications (UIT) : « la cybersécurité est un ensemble d’outils, de politiques, de concepts de sécurité, de garanties de sécurité, de directives, d’approches de gestion des risques, d’actions, de formations, de meilleures pratiques, d’assurances et de technologies pouvant être utilisées pour protéger le cyber-environnement, l’organisation et les actifs de l’utilisateur. Les actifs de l’organisation et de l’utilisateur comprennent les appareils informatiques connectés »⁹ (2008).

– Pour l’agence européenne ENISA : « la cybersécurité couvre tous les aspects de la prévention, de la prévision, tolérance, détection, atténuation, suppression, analyse et enquête des cyber incidents. Considérant les différents types de composants de l’espace cybernétique, la cybersécurité devrait couvrir les attributs suivants : disponibilité, fiabilité, sécurité, confidentialité, intégrité, maintenabilité (systèmes, informations et réseaux tangibles) robustesse, capacité de survie, résilience (pour soutenir la dynamique du cyber espace), la responsabilité, l’authenticité et la non-répudiation (pour soutenir la sécurité de l’information) » (2017).

– Pour l’entreprise de cybersécurité Kaspersky « la cybersécurité consiste à défendre les ordinateurs, les serveurs, les appareils mobiles, les systèmes électroniques, les réseaux et les données contre les attaques malveillantes. C’est ce qu’on appelle également la sécurité des technologies de l’information ou la sécurité des informations électroniques. Le terme s’applique dans divers contextes, allant de l’informatique professionnelle à l’informatique mobile, et peut être divisé en quelques catégories communes » (2019)¹⁰.

– En France, elle est définie par l’ANSSI comme un « état recherché pour un système d’information lui permettant de résister à des événements issus du cyberespace susceptibles de compromettre la disponibilité, l’intégrité ou la confidentialité des données stockées, traitées ou transmises et des services connexes que ces systèmes offrent ou qu’ils rendent accessibles. La cybersécurité fait appel à des techniques de sécurité des systèmes d’information et s’appuie sur la lutte contre la cybercriminalité et sur la mise en place d’une cyberdéfense » (2019)¹¹.

– Elle y est définie dans le Dictionnaire du Département de la Défense américain comme l’ensemble des « mesures prises dans le cyberespace protégé pour empêcher tout accès non autorisé, exploitation ou endommagement des ordinateurs, des systèmes de communications électroniques et d’autres technologies de l’information, y compris les technologies des plates-formes d’information, ainsi que les informations qu’ils contiennent, afin de garantir leur disponibilité, intégrité, authentification, confidentialité et non répudiation » (2019).
 

Conclusion : les constantes de la cybersécurité

 
Il faut davantage voir le tournant des années 2000 comme une transition naturelle entre « la cybersécurité » et la « sécurité des systèmes d’information » d’avant, qu’une rupture véritable. Selon un rapport de l’OCDE de 2012¹² cette seconde phase se caractériserait toutefois par une approche plus globale, intégrant les multiples aspects de la sécurité de la société en réseau (économique, social, juridique, technique, militaire, diplomatique, etc.). Telle qu’elle est traitée dans les stratégies nationales, la cybersécurité, ou sécurité des systèmes d’informations (les deux appellations coexistent) apparaît donc comme une question très large tant dans ses modalités que ses effets, ses implications, ses composantes, le nombre d’acteurs qu’elle mobilise, les moyens techniques et financiers qu’elle nécessite. Ces stratégies nationales traduisent d’autre part une préoccupation commune aux États : la défense, la construction et l’affirmation de la souveraineté dans le cyberespace.

Et s’il n’y a en effet pas une unique définition consensuelle, nous avons cependant pu constater l’existence de fortes convergences dans les approches. Une étude réalisée sur la base d’un corpus de définitions plus étendu¹³ a permis d’identifier quelques constantes : la cybersécurité est affaire de procédures, de normes, de moyens techniques et humains, mais elle consiste en priorité en la protection de systèmes (ordinateurs, réseaux, systèmes logiciels, données). La conception de la cybersécurité se veut résolument techno-centrée. La mise en œuvre de moyens et de procédures occupe une place essentielle. La dimension humaine de la sécurité y semble secondaire.